Information, Calcul et Communication

Module 3 : Systèmes

Information, Calcul et CommunicationSécurité des systèmes informatiques (2/2)

Ph. Janson & J.-C. Chappelier

Motivations (rappel)

I L’univers numérique doit être sécurisé au même titre que le monde physique

I La sécurité totale n’existe pas plus dans le monde informatiqueque dans le monde physiqueI Un compromis entre le risque d’une attaque et le prix de la défense

I Éduquer les utilisateurs et les opérateurs est donc essentiel

Introduction Authentification Règles de bonne conduite Conclusion 1 / 33

Menaces et défenses (rappel)

Les menaces sont :I le vol d’informations

I la manipulation d’informations

I la destruction d’informations

I le démenti

I l’usurpation d’identité

I le contournementdes défenses

Les combattre exige :I confidentialité des informations

I vérification de l’intégrité des informations

I disponibilité des informations

I responsabilisation des utilisateurs

I authentification des utilisateurs/desprocessus

I hiérarchisation des autorisations desutilisateurs/des processus

+ L’ultime objectif : contrôler qui a quel droit

Introduction Authentification Règles de bonne conduite Conclusion 2 / 33

Cryptographie (rappel)

Il y a deux grandes familles de crypto-systèmes :

Symétrique Asymétriqueà clés secrètes à clés publiques

Exemples : One-time pad RSADES Diffie-HellmanAES courbes elliptiques

Confidentialité : oui oui

Intégrité : oui oui

Responsabilité : non oui

Note : on peut utiliser les deux en même temps (p.ex. envoi d’une clé privée symétriquepar cryptage asymétrique)

Introduction Authentification Règles de bonne conduite Conclusion 3 / 33

Objectifs de la leçon d’aujourd’hui

I Authentification

I Principales règles de bonne conduite des utilisateurs et administrateurs de systèmesinformatiquespour se protéger contre les catastrophes (environnement), les hackers (humains) etleurs maliciels (technique)?

Introduction Authentification Règles de bonne conduite Conclusion 4 / 33

Authentification

Menace : usurpation d’identité

Défense : authentification :I par ce que l’on connaîtI par ce que l’on détientI par ce que l’on est

Introduction Authentification Règles de bonne conduite Conclusion 5 / 33

Exemple : authentification dans crypto-systèmeasymétrique

Nous avons vu que dans un crypto-système asymétrique nous communiquons de façonconfidentielle en utilisant la clé publique du destinataire.

Mais comment savoir que l’on envoie à la bonne personne et non pas à un fraudeur?(« man-in-the-middle attack »)

A B

Cenvoieen prétendantque c'est

CneC( ),

nBBe( ), nBBe( ),utilise

Comment savoir que l’on a la bonne clé publique?

I Rencontrer physiquement la personne.I Faire confiance à des tiers :

+ autorités de certification qui distribuent les clés publiques

Introduction Authentification Règles de bonne conduite Conclusion 6 / 33

Autorités de Certification des clés

Une autorité de certification (AC)I délivre des certificats d’identités numériquesI offre les moyens de vérifier la validité des certificats qu’elle fournit

Certificat = message signé par une autorité de confiance

Plusieurs autorités de certification peuvent mutuellement certifier leurs clés publiquespour assurer l’authenticité des clés publiques de tiers certifiées par une autre AC

Exemples d’AC :I locale : EPFL,I globales : Symantec, Thawte, TBS

Introduction Authentification Règles de bonne conduite Conclusion 7 / 33

Identité, sphère privée et réputation (1/2)

Nous avons tous une identité à plusieurs facettes :I CitoyenI ConsommateurI Employé ou indépendantI PatientI ...

Toutes ces facettes de notre identité ne sont pas (et n’ont pas à être) publiques.I le vote d’un citoyen doit pouvoir rester secret ;I l’opinion d’un consommateur doit pouvoir rester anonyme ;I des collègues de travail peuvent avoir une liaison discrète tout à fait honorable ;I quelqu’un doit pouvoir acheter un médicament sans être suspecté de maladie...

Introduction Authentification Règles de bonne conduite Conclusion 8 / 33

Identité, sphère privée et réputation (2/2)

Nous avons tous une identité à plusieurs facettes.

La protection de la sphère privée :I consiste à garder ces facettes isolées les unes des autres ;I NE consiste PAS à cacher des activités illégales / immorales.

La plupart des gens ne se soucient de la protection de leur sphère privée dans le mondenumérique......jusqu’au jour où ils l’auront perdue !

+ L’enjeu est l’intégrité de leur réputation

Introduction Authentification Règles de bonne conduite Conclusion 9 / 33

Limites de la protection de la sphère privée

I La protection de la sphère privée est un droit fondamental ;I mais la société a besoin de responsabilité pour trouver et punir les activités illégales /

immorales.

+ Où est la limite entre surveillance et espionnage?

Par exemple :I Utiliser un GPS pour localiser un véhicule volé peut être légitime ;I utiliser le même GPS pour faire suivre son chauffeur est abusif.I Déposer une plainte anonyme contre un employeur frauduleux semble légitime ;I colporter un ragot anonyme qui peut nuire à la répudation d’un tiers est abusif.

I Pas de réponse absolue et donc pas de réponse dans ce coursI Chaque société doit pouvoir décider pour elle-même où sont les limites qu’elle

accepte (des deux cotés)

Introduction Authentification Règles de bonne conduite Conclusion 10 / 33

Menaces sur la sphère privée

Le fond de commerce des réseaux sociaux est notre sphère privée.(« In the world of Big Data, privacy invasion is the business model ! » (CNET 2012-02-29)

« Si c’est gratuit, c’est que c’est vous le produit ! » (anonyme) )

De plus en plus de données privées sont :I récoltées électroniquementI stockées numériquement

En des lieux et sous des juridictions que le « cloud » rend flous.I échangées informatiquement

Des entreprises commerciales vivent de la revente de ces données privées.I analysées automatiquement

Des entreprises sont spécialisées dans la corrélation de données isolées.I publiées numériquement No comment...I maintenues par des tiers

+ La sphère privée échappe de plus en plus aux intéressés eux-mêmes.Obtenir assez de données privées pour usurper une identité devient de plus en plus facile.

Introduction Authentification Règles de bonne conduite Conclusion 11 / 33

Sphère privée – Politique de protection

Au-delà de l’accès (autorisation), la protection de la sphère privée est aussi concernée parl’usage des informations.

Le contrôle de l’usage requiert une politique stipulant :I quelles informations sont collectéesI comment les informations sont sécuriséesI combien de temps elles sont gardées (avant d’être effacées)

Nous ignorons totalement les conséquences de vivre dans un monde qui n’oublie plus jamais rien !I à quelles fins elles peuvent être utiliséesI à qui elles peuvent être transmises

Ces politiques doivent aussi garantir un contrôle aux individus concernés :ils doivent avoir le droit deI inspecter ce qui est collectéI corriger ce qui est collectéI être informés en cas de violationI faire appel en cas de litige

Introduction Authentification Règles de bonne conduite Conclusion 12 / 33

Authentification : moyens

Authentifier l’utilisateur par quelque chose qu’ilI connaît : mots de passeI détient : jetonsI est : biométrie

Introduction Authentification Règles de bonne conduite Conclusion 13 / 33

Authentification par connaissances :mots de passe

I Les mots de passe doivent être stockés sur l’ordinateur qui les vérifie+ Ils sont exposés + Il ne faut pas les stocker en texte clair

I Les mots de passe doivent être transmis à l’ordinateur qui les vérifie+ Ils sont exposés + Il ne faut pas les transmettre en texte clair

I Les mots de passe doivent être saisis+ Ne pas les exposer (« shoulder surfing »)I supprimer leur affichage à l’écranI cacher leur saisieI s’assurer qu’aucune caméra ne surveilleI s’assurer qu’aucun maliciel n’espionne (key-logger – risque majeur) ou n’enregistre les

émanations électromagnétiques

Note : pour protéger les identités, les userids devraient être aussi difficiles à deviner queles mots de passe.

Introduction Authentification Règles de bonne conduite Conclusion 14 / 33

Le dilemme des mots de passe

mot de passe = identification par ce que vous ( !) connaissez(= et non pas quelqu’un d’autre)

Les mots de passe ne doivent JAMAIS être écrits nulle part !

+ Ils doivent être facile à mémoriser – mais difficile à deviner ! !

Comment faire?

Introduction Authentification Règles de bonne conduite Conclusion 15 / 33

Mots de passe les plus fréquents/stupides

Source : Perfect Passwords, Mark Burnett, 2005.

Voir aussi : https://en.wikipedia.org/wiki/List_of_the_most_common_passwords

Introduction Authentification Règles de bonne conduite Conclusion 16 / 33

Mauvais mots de passe

I Environ 10% des gens utilisent au moins un mot de passe de la liste précédente

I Et 2% des gens utilisent un des 20 premiers mots de passe de cette liste

I Près de 50% des gens utilisent des noms, de l’argot ou des mots de passe triviaux(touches de clavier, lettres, ou chiffres consécutifs, etc.)

+ Les utilisateurs sont si prévisibles que les pirates utilisent précisément ces trucs,pour tenter de pénétrer les ordinateurs en se faisant passer pour leurs victimes.C’est ce qu’on appelle les attaques au dictionnaire de mots de passe.

Introduction Authentification Règles de bonne conduite Conclusion 17 / 33

Comment choisir votre mot de passe

mot de passe = identification par ce que vous ( !) connaissez

I Les mots de passe ne doivent JAMAIS être écrits nulle part (ni transmis à des tiers)

I Ils doivent être facile à mémoriser – mais difficile à deviner

I Un mot de passe différent pour chaque site / chaque application

I Changer de mot de passe régulièrement (rappel : équilibre menace / défense)

I Utiliser une longueur suffisante (au moins 8, sinon 12 caractères)

I Utiliser des alphabets assez vastesI Majuscules + minuscules + chiffres (soient 62 caractères)I Caractères spéciaux (mais pas toujours acceptés)

I Testez vos mots de passe avec des outils de confiance (en particulier jamais à distance !)qui travaillent en mode crypté p.ex. https://ophcrack.sourceforge.net/ (EPFL)

Introduction Authentification Règles de bonne conduite Conclusion 18 / 33

Comment choisir votre mot de passe

Les mots de passe doivent avoir une longueur M suffisante pour résister aux devinettes.Risque R = durée de vie D × fréquence des attaques F / T M (T : taille de l’alphabet)d’où : M > log(D×F/R)/ log(T )

p.ex. : 8 > log(100 jours× (100 par jour)/10−9)/ log(62)I Utiliser un alphabet assez vaste (augmenter T )I Limiter la fréquence des attaques (diminuer F )

(p.ex. terminer toute connection après quelques échecs)

I Changer de mot de passe régulièrement (diminuer D)et ne jamais réutiliser le même mot de passe sur plusieurs systèmes (“password sloth”)

I Ne jamais choisir un mot de passe dans un langage naturel ou un dialecte quelconqueI Remplacer des lettres par des chiffres évidents ne sert à rien

(p.ex. 0 for O, 1 for I, 2 for Z, 3 for E, 4 for A, 5 for S, 6 for G, 7 for T, 8 for B, 9 for q)I Ne pas épeler à l’envers, éliminer les voyelles, employer lettres pour phonèmes, etc.I Si cela vous paraît malin, les auteurs d’attaques au dictionnaire y ont aussi déjà pensé !

Introduction Authentification Règles de bonne conduite Conclusion 19 / 33

Comment choisir votre mot de passe

+ avoir un schéma de générationExemple de schéma :I une base fixe, de séquences de lettres peu probablesI base variable 1 : site application systèmeI base variable 2 : date/année (encodé à votre façon)I nombre de lignes = durée de validité de la table

(= nombre de mots de passe disponibles)I nombre de colonnes = longueur des mots de passe.

Introduction Authentification Règles de bonne conduite Conclusion 20 / 33

Autres « mots » de passe

I Phrases de passe : but : entropie plus grande (longueur M plus grande),mais attention à la prédicabilité de la phrase ! ! (modèle de langue)

I Questions de passe : répondre à des questions personnelles subtilement choisies(les réponses ne doivent être connues que de vous seul(e) !)

I Graphes de passe : cliquer en séquence sur des images positionnées aléatoirement

I Algorithmes de passe :construire les mots de passe selon un algorithme simple mais secret(généralisation du « schéma de génération » précédent)

Introduction Authentification Règles de bonne conduite Conclusion 21 / 33

Authentification à double canauxou à double facteur

Quand les mots de passe ne sont plus assez sûrs pour une application critique, on peutavoir recours àI une authentification à double canal

I L’ordinateur envoie un code aléatoire à l’utilisateur par un canal secondaire(p.ex. SMS comme le font par example Google, Swisscom, Telegram, etc.)

I L’utilisateur rentre le code dans son ordinateurI Alternativement le téléphone mobile peut renvoyer un portrait de son propriètaire

NB : des hackers ont déjà surmonté une telle authentification

I ou une authentification à double facteur (ou même plus)

+ Biométrie ou jeton d’identification en plus du mot de passe

Introduction Authentification Règles de bonne conduite Conclusion 22 / 33

Authentification à double canauxou à double facteur

Quand les mots de passe ne sont plus assez sûrs pour une application critique, on peutavoir recours àI une authentification à double canal

I ou une authentification à double facteur (ou même plus)

+ Biométrie ou jeton d’identification en plus du mot de passe

Introduction Authentification Règles de bonne conduite Conclusion 22 / 33

Jeton : authentification par ce que l’on possède

I Basé sur un échange de codes ou un envoi de cachet-dateur chiffrés

I Avec un tel jeton non seulement l’utilisateur mais chaque transaction peut être identifiéeI Un maliciel ne peut pas interférer car l’utilisateur confirme chaque transaction sur le

jeton

Introduction Authentification Règles de bonne conduite Conclusion 23 / 33

Biométrie : authentification par ce que l’on est

I La biométrie est en fait la méthode d’authentification originelle de l’humanité ;ce qui est neuf est son utilisation en informatique.

I La biométrie d’un individu est unique mais pas secrète.+ Le vol d’identité biométrique est donc un risque majeur !

(p.ex. copie d’empruntes digitaleshttps://research.msu.edu/msus-3-d-hand-tests-fingerprint-scanners/

)

I La vérification biométrique est encline à erreurs :Des faux négatifs sont ennuyeux.Des faux positifs sont indésirables. (c’est le but de départ !)Trouver un compromis entre les deux est délicat...

+ La biométrie est souvent utilisée comme second facteur plutôt que comme seul facteur

Introduction Authentification Règles de bonne conduite Conclusion 24 / 33

Techniques biométriques

I Profil et vitesse de dactylographiePeu précis

I Reconnaissance dynamique de signatureSûr mais cher

I Reconnaissance des veines de la paume de main (ou de la forme de la main)Sûr mais cher et peu pratique

I Reconnaissance des empreintes digitalesCommune mais peu sûre

I Reconnaissance de la voixNi très sûr ni très consistant (faux négatif)

I Reconnaissance du visageNi très sûr (photo) ni très consistant (vieillissement)

I Reconnaissance de l’iris de l’oeilPas très sûr à moins d’exiger un oeil « vivant »

I Reconnaissance de l’ADNParfait ?... ...pour la science fiction?

Introduction Authentification Règles de bonne conduite Conclusion 25 / 33

Authentification bi-directionnelle

Toutes les techniques vues jusqu’ici n’offrent qu’une authentification unidirectionnelle,ce qui représente une carence et un risque majeur (« phishing ») :Un service frauduleux peut se présenter sous l’identité d’un service réputé et ainsi récolterles identités et mots de passe d’utilisateurs innocents et crédulesLe premier partenaire qui s’identifie à l’autre doit lui révéler son identité(et son mot de passe?)

Solution : identification bi-directionnelleI Cryptographique de la part du service demandé

(sur base de défi ou de cachet-dateur crypté)I Cryptographique ou non de la part de l’utilisateur

C’est exactement ainsi que fonctionnent les protocoles HTTPS/SSL/TLS(indiqués par l’icône de cadenas dans la barre du navigateur)au moyen de certificats (AC)

Introduction Authentification Règles de bonne conduite Conclusion 26 / 33

Conseils de « bonne conduite » (1/3)

AuthentificationI Avoir de vrais mots de passe sécurisés, différents pour chaque poste/application

+ schéma de génération de mots de passeI NE JAMAIS révéler un mot de passe, à qui que ce soit !

DonnéesI Faire des copies de sauvegardes régulièresI Crypter ses données (p.ex. ses disques)I Vraiment écraser (shred) toutes les données (ou détruire physiquement) sur tout

support revendu/mis à la déchargeI Eviter l’usage de services publics (p.ex. Google Docs/Drive, calendar, contacts, iCloud,

etc.) pour des informations confidentielles

Introduction Authentification Règles de bonne conduite Conclusion 27 / 33

Conseil de « bonne conduite » (2/3)

Protection de la machineI Installer anti-virus et pare-feuI Toujours mettre à jour ses logicielsI Ne jamais accepter un patch de logiciel quand on est connecté à un Wi-Fi publicI Condamner le partage de fichiers (et d’imprimantes)I Condamner l’assistance à distanceI Ne jamais laisser un poste, ordi, téléphone ouvert : verrouiller l’écran, forcer la

déconnexion automatique en cas de longue inactivité (15 min)I se déconnecter systématiquement de toute machine/tout service en fin d’utilisationI Ne jamais exécuter d’application en mode administrateur

Introduction Authentification Règles de bonne conduite Conclusion 28 / 33

Conseil de « bonne conduite » (3/3)

Protection de la machine (suite)I Interdire l’envoi automatique de notices d’absence – c’est une invitation au spamI Se méfier des postes de travail et services publics – surtout gratuits

GénéralI Se méfier de pirates en des lieux publics/hôtels – surtout dans les pays réputés « à

risque »

Navigation InternetI Ne pas accepter de script dans son navigateurI Installer les plug-ins de sécurité de son navigateur

(mais être sûr de leur qualité/intégrité ! !)I Refuser systématiquement/Limiter le nombre de cookies

Introduction Authentification Règles de bonne conduite Conclusion 29 / 33

Sécuriser votre wifi à la maison

1. Changer le mot de passe administrateur de votre routeur (souvent 192.168.1.1)(trop souvent c’est le mot de passe « usine » qui est dessus, genre « 123456 »,« 0123456 », « 12345678 », « 01234567 », « 000000 », « 00000000 », « admin »,« administrator », etc.)

2. Ne faites pas vos opérations critiques (p.ex. banque) sur un wifi, mais sur un réseauEthernet (cable)

3. Ayez au moins 2 réseaux wifi séparés :l’un pour vos accès perso privés critiqueset un autres pour vos invités/amis/activités ludiques

4. Empêchez les matériels non autorisés à se connecter(filtrage d’adresses MAC)

Introduction Authentification Règles de bonne conduite Conclusion 30 / 33

Résumé

I Catastrophes (environnement), hackers (humains) et maliciels (technique) représententdes menaces :I vol d’informationI manipulation d’informationI destruction d’informationI démentiI usurpation d’identitéI contournement des défenses

I qui visent nos données,I y compris celle de notre sphère privée ;I y compris notre identité et notre/nos réputation(s).

Introduction Authentification Règles de bonne conduite Conclusion 31 / 33

Résumé

I Catastrophes (environnement), hackers (humains) et maliciels (technique) représententdes menaces

I qui visent nos données.I Ces données doivent donc être

I cryptéesI sauvegardées

I et leur accèsI authentifié (par ce que l’on connait, possède, est)I autorisé

I pour se défendre de façon appropriée (équilibre) et assurer :I confidentialitéI intégritéI disponibilitéI responsabilitéI authentificationI autorisation

Introduction Authentification Règles de bonne conduite Conclusion 31 / 33

Résumé

L’éducation des utilisateurs et des opérateurs passe parl’enseignement de meilleures pratiques pourI la préventionI la surveillanceI la détectionI la correction

des menaces.

+ Voir si nécessaire « Pour aller plus loin » en annexe

Introduction Authentification Règles de bonne conduite Conclusion 32 / 33

Conclusion

I Sachez identifier les menaces et connaîssez les niveaux de défense appropriés(la sécurité totale n’existe pas !)

I Sauvegardez, cryptez vos donnéesI Choisissez bien, changez et protégez vos mots de passeI D’une façon générale, adoptez de meilleures pratiques en vue d’une plus grande

sécurité

Ceci termine ce cours I.C.C. !En espérant que ce « voyage » annoncé dans la toute première leçonvous auraI plu, intéressé, instruit.

Introduction Authentification Règles de bonne conduite Conclusion 33 / 33

Annexe : Pour aller plus loin

I Le petit guide illustré EPFL « Sécurité IT – Comment se prémunir contre lescyber-attaques »https://www.epfl.ch/campus/services/wp-content/uploads/2018/11/Guide-securite-IT-Fr-web-vf.pdf

I Site EPFL « Sécurité IT »https://www.epfl.ch/campus/services/ressources-informatiques/secure-it/

I « Guide des bonnes pratiques de l’Informatique » de l’ANSSI françaisehttps://www.ssi.gouv.fr/uploads/2017/01/guide_cpme_bonnes_pratiques.pdf

I « Tout sur la sécurité informatique » de J.-F. Pillou et J.-Ph. Bay, Dunod, 5e édition,2020.https://www.dunod.com/sciences-techniques/tout-sur-securite-informatique-0

I Et pour ceux qui voudraient aller encore plus loin, l’ANSSI française offre une pléthorede documents spécialisés gratuits :https://www.ssi.gouv.fr/administration/bonnes-pratiques/

sécurité IT

Le petit guide illustré

Comment se prémunir contreles cyber-attaques

GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE12 règles essentielles pour sécuriser

vos équipements numériques

33 / 33